1. 内网渗透中的权限提升概述

权限提升是内网渗透过程中最关键的环节之一，也是区分脚本小子和专业安全人员的重要分水岭。在内网环境中，攻击者初始获取的往往只是普通用户权限，而真正的目标通常是获取域管理员或系统管理员权限。权限提升技术本质上是通过利用系统配置缺陷、软件漏洞或逻辑错误，从低权限账户获取更高权限账户的控制权。

在实际渗透测试中，我发现权限提升主要分为两大类：纵向提权（从普通用户到管理员）和横向移动（从一个普通用户到另一个普通用户）。前者直接提升权限级别，后者则是通过扩大控制范围间接获取更高权限。这两种方式往往需要结合使用，才能最终达成控制整个内网的目标。

2. 常见权限提升技术分类与原理

2.1 系统配置不当导致的提权

Windows系统中，最常见的配置问题包括：

• 服务路径漏洞：当服务以SYSTEM权限运行但指向用户可写的目录时
• 不安全的服务权限：用户可以修改服务配置或停止/启动服务
• 计划任务配置错误：用户可修改计划任务执行的程序或脚本

Linux系统中则常见：

• SUID/SGID设置不当：普通用户可执行高权限程序
• /etc/passwd或/etc/shadow文件权限设置错误
• cron任务配置不当导致命令注入

提示：在内网渗透中，我总是优先检查这些配置问题，因为它们不依赖特定漏洞，成功率较高且不易被防护设备检测到。

2.2 内核与系统漏洞利用

当配置检查无法直接提权时，我会转向漏洞利用。Windows系统中值得关注的包括：

• MS16-075（烂土豆）：通过命名管道模拟漏洞提权
• CVE-2018-8120：Win32k组件空指针引用漏洞
• CVE-2019-0808：Win32k特权提升漏洞

Linux系统中常见的有：

• Dirty Cow（CVE-2016-5195）：内存竞争条件漏洞
• Sudo漏洞（CVE-2021-3156）：堆溢出漏洞
• Polkit漏洞（CVE-2021-4034）：环境变量注入漏洞

2.3 凭证窃取与滥用

在内网环境中，凭证往往比漏洞更有价值。我常用的技术包括：

• 内存dump提取明文密码（mimikatz）
• 破解SAM/SYSTEM注册表文件
• 嗅探网络流量获取NTLM哈希
• 滥用Windows凭据管理器
• 查找配置文件中的硬编码凭证

3. 实战中的权限提升流程

3.1 信息收集阶段

在获取初始立足点后，我会系统性地收集以下信息：

systeminfo # 获取系统详细信息 whoami /priv # 查看当前用户权限 net user /domain # 枚举域用户 tasklist /svc # 查看运行的服务 schtasks /query /fo LIST /v # 查看计划任务

3.2 自动化工具辅助分析

我通常会使用以下工具快速识别潜在的提权路径：

• Windows: WinPEAS, PowerUp, Seatbelt
• Linux: LinPEAS, LinEnum, Linux Exploit Suggester
• 跨平台: Metasploit的post模块

这些工具能自动检测系统配置问题、安装的软件版本和已知漏洞，大幅提高效率。

3.3 针对性利用与验证

根据收集的信息，我会：

1. 优先尝试无需漏洞的配置错误提权
2. 检查内核版本与公开漏洞匹配情况
3. 测试凭证重用和横向移动可能性
4. 验证提权成功后立即备份凭证和权限

4. 高级权限维持技术

4.1 黄金票据与白银票据

在域环境中，获取krbtgt账户的哈希后可以创建黄金票据，获得任意服务的访问权限。而白银票据则针对特定服务，不需要与KDC交互。

4.2 影子账户与DSRM密码

创建隐藏的管理员账户或修改目录服务恢复模式(DSRM)密码，可以在常规管理员账户被重置后仍保持访问权限。

4.3 计划任务与WMI事件订阅

通过创建高权限的计划任务或WMI永久事件订阅，可以在系统重启后自动恢复控制权。

5. 防御与检测建议

作为渗透测试人员，了解防御措施同样重要。企业可以采取以下措施：

5.1 权限最小化原则

• 严格遵循最小权限原则分配账户权限
• 定期审计用户权限和服务账户
• 禁用不必要的系统功能和组件

5.2 系统加固措施

• 及时安装安全补丁
• 配置AppLocker或软件限制策略
• 启用LSA保护和Credential Guard

5.3 监控与检测

• 监控异常账户活动（如夜间登录）
• 检测mimikatz等工具的使用痕迹
• 分析异常服务创建和计划任务

在实际渗透测试项目中，我发现大多数内网渗透最终都依赖于权限提升技术。不同于边界突破的"一次性"攻击，权限提升往往需要多次尝试和组合多种技术。最有效的攻击者不是那些掌握最多漏洞的人，而是最了解系统运作原理和防御盲点的人。

在最近的一次红队演练中，我通过组合服务路径漏洞、凭证重用和WMI事件订阅，成功在高度防护的域环境中建立了持久控制。整个过程没有使用任何0day漏洞，全是依靠对系统机制的深入理解和耐心测试。这再次证明，内网安全最薄弱的环节往往不是技术本身，而是人与配置的疏忽。